IPsec‑VPN – wie funktioniert es?

Wenn Sie in den Einstellungen einer VPN-App nachsehen, finden Sie dort häufig eine Liste von Protokollen. IPsec ist eine der Optionen, die Sie sehen können, manchmal als IKEv2/IPsec bezeichnet. Es ist außerdem in Windows, macOS und iOS integriert, sodass Sie es möglicherweise nutzen, ohne es bewusst ausgewählt zu haben.

Die IETF hat es in den 1990er Jahren standardisiert als allgemeine Methode, IP-Verkehr über nicht vertrauenswürdige Netzwerke zu schützen – von einer permanenten Verbindung zwischen zwei Firmennetzwerken bis hin zu einem einzelnen Nutzer, der sich von unterwegs einwählt. Ein consumer‑tauglicher IPsec‑VPN wendet denselben Schutz auf Ihre Verbindung an: Er verknüpft Ihr Gerät mit einem Server, den Ihr VPN-Anbieter betreibt, sodass Ihr Datenverkehr über diesen Server statt direkt von Ihrem Gerät ausgeht.

Was ist IPsec?

IPsec (Internet Protocol Security) ist ein Protokoll‑Framework, das Daten schützt, während sie über IP-Netzwerke reisen. Es verschlüsselt jedes Paket Ihres Datenverkehrs, prüft, woher das Paket stammt, und stellt sicher, dass unterwegs nichts verändert wurde.

Ihre Daten durchqueren das Internet nicht als ein Block. Sie werden in Pakete zerlegt, von denen jedes mit Adressinformationen versehen wird, damit Router wissen, wohin sie es senden sollen. IPsec arbeitet auf diesen einzelnen Paketen.

Das Framework bietet:

• Verschlüsselung: der Inhalt jedes Pakets wird zu Chiffretext, den ein Netzwerkbetreiber oder Lauscher nicht lesen kann.
• Integritätsprüfungen: die empfangende Seite bestätigt, dass die Daten unverändert angekommen sind.
• Authentifizierung: jeder Endpunkt weist nach, dass er das System ist, das er vorgibt zu sein – entweder mit einem Pre‑Shared Key (PSK, vorab geteilter Schlüssel) oder mit einem digitalen Zertifikat (einem von einer vertrauenswürdigen Stelle ausgestellten und signierten Nachweis).
• Replay‑Schutz: zuvor abgefangene Pakete, die ein Angreifer erneut sendet, werden abgewiesen.

Auf diesen Protokollen basiert ein VPN; VPN-Software und Netzwerkhardware nutzen IPsec, um geschützte Verbindungen über öffentliche Netze aufzubauen. Da IPsec auf der Netzwerkschicht arbeitet, kann es den gesamten IP-Verkehr eines Geräts schützen und ist nicht auf eine einzelne Anwendung beschränkt.

Nützliche IPsec‑Begriffe und Definitionen

IPsec‑Terminologie kann schnell kompliziert werden. Hier eine kurze Referenz der Begriffe, die Ihnen am häufigsten begegnen, und ihre Bedeutung:

Wie arbeitet ein IPsec‑VPN?

Ein IPsec‑VPN baut in vier schnellen Phasen einen geschützten Tunnel auf: Die beiden Endpunkte authentifizieren sich gegenseitig, vereinbaren Verschlüsselungsparameter, verschlüsseln und kapseln dann jedes ausgehende Paket. Die empfangende Seite prüft auf Manipulationen und entschlüsselt das Paket.

1. Authentifizierung und Aushandlung: die Endpunkte weisen ihre Identität nach und einigen sich auf die zu verwendenden Verschlüsselungs‑ und Integritätsalgorithmen sowie die Schlüssel.
2. Tunnelherstellung: mit den vereinbarten Regeln öffnen beide Seiten die geschützte Verbindung und speichern die Einstellungen als Security Association, das gemeinsame Regelwerk für diesen Tunnel.
3. Verschlüsselung und Übertragung: ausgehende Pakete werden verschlüsselt und gekapselt, bevor sie Ihr Gerät verlassen, und passieren dann das Internet wie jeder andere Verkehr auch.
4. Entschlüsselung am Ziel: der empfangende Endpunkt prüft das Paket auf Manipulation, entschlüsselt es und gibt die ursprünglichen Daten weiter.

Der Internet Key Exchange (IKE) übernimmt die ersten beiden Phasen; IKEv2 ist die heute gebräuchliche Version. Die Aushandlung läuft normalerweise über UDP Port 500. Sitzt Ihr Gerät hinter einem Router, der Netzwerkadressübersetzung durchführt, wechseln beide Seiten zu NAT‑Traversal (NAT‑T), das den Schlüsselaustausch und den folgenden verschlüsselten Verkehr in UDP Port 4500 verpackt, sodass sie den Router unverändert passieren.

Wofür wird IPsec verwendet?

IPsec sichert Verkehr, der über das öffentliche Internet laufen muss. Die häufigsten Einsatzfälle sind Fernzugriff von Mitarbeitenden auf das Firmennetzwerk über eine Business‑VPN, permanente Verbindungen zwischen Unternehmensstandorten und VPN-Apps, die IKEv2/IPsec anbieten, um das Surfen im öffentlichen WLAN zu schützen.

Site‑to‑Site vs. Remote‑Access IPsec VPNs

Ein Site‑to‑Site IPsec‑VPN verbindet ganze Netzwerke miteinander. Ein Unternehmen mit Hauptsitz und Lager setzt an jedem Ende ein Gateway, und der Tunnel läuft zwischen diesen beiden Punkten. Ein Drucker im Lager kann so einen Server im Hauptsitz erreichen, ohne dass auf dem Drucker selbst VPN‑Software installiert sein muss, weil das Gateway die Verschlüsselung für alles dahinter übernimmt.

Ein Remote‑Access IPsec‑VPN verbindet ein einzelnes Gerät mit einem gesamten Netzwerk. Client‑Software auf Ihrem Laptop bildet ein Ende des Tunnels, und das Gateway im Firmennetz bildet das andere Ende, sodass derselbe Server aus einem Hotelzimmer erreichbar ist, solange der Tunnel steht.

Welche Protokolle verwendet IPsec?

IPsec ist ein Protokoll‑Bündel:

• ESP (Encapsulating Security Payload): verschlüsselt und authentifiziert die Nutzlast.
• AH (Authentication Header):prüft die Integrität der Nutzlast und großer Teile des IP-Headers, ohne aber zu verschlüsseln.
• IKE (Internet Key Exchange): handhabt die Aushandlung von Einstellungen und das Erstellen der Schlüssel.

Möglicherweise sehen Sie in VPN-Einstellungen „IKEv2/IPsec“ — das wirkt wie eine Auswahl zwischen zwei Protokollen. Das ist es nicht: IKEv2 richtet die Verbindung ein und IPsec schützt, was durch sie läuft.

Warum Sie nur noch ESP

sehen werden

ESP ist das, was in einem aktuellen IPsec‑VPN den Verkehr schützt. AH lässt Ihre Daten für jeden lesbar, der sie abfängt, und bietet nur den Beleg, dass ein Paket von der erwarteten Quelle stammt und unverändert ankam.

AH scheitert außerdem, wenn Netzwerkadressübersetzung auf dem Weg liegt, weil es Teile des IP-Headers schützt, die NAT umschreibt. Heimrouter und Mobilfunknetze nutzen NAT, daher wird AH selten eingesetzt.

Was ist der Unterschied zwischen IPsec‑Tunnel‑Modus und Transport‑Modus?

Der Tunnel‑Modus kapselt das gesamte ursprüngliche Paket, inklusive Header, in ein neues. Der Transport‑Modus verschlüsselt nur die Nutzlast und lässt den ursprünglichen IP-Header sichtbar, was sich für direkte Server‑zu‑Server‑Kommunikation in einem Rechenzentrum eignet.

Das Wort Tunnel hat hier eine doppelte Bedeutung und verwirrt oft. Ein IPsec‑Tunnel ist die geschützte Verbindung zwischen zwei Endpunkten, während Tunnel‑Modus eine eigene Entscheidung darüber ist, wie viel von jedem Paket eingekapselt wird.

Bei einer Verbindung im Tunnel‑Modus sieht ein Beobachter nur, dass Verkehr zwischen den beiden Endpunkten fließt, nicht aber die innerhalb verborgenen Adressen. Im Transport‑Modus bleiben Quelle und Ziel im Klartext, da nur die Nutzlast verschlüsselt ist.

Welche Vor‑ und Nachteile hat IPsec?

IPsec ist seit den 1990er Jahren im Einsatz; seine Vor‑ und Nachteile sind daher gut dokumentiert.

Vorteile von IPsec

• Starke Verschlüsselung und Authentifizierung. Aktuelle Konfigurationen kombinieren Chiffren wie AES mit Zertifikats‑ oder Pre‑Shared‑Key‑Authentifizierung, sodass jede Seite ihre Identität nachweist, bevor Daten übertragen werden.
• Abdeckung auf Netzwerkschicht. E‑Mails, Dateiübertragungen und Backups nutzen denselben geschützten Pfad wie Browserverkehr.
• Anwendungsunabhängigkeit. Software muss nicht wissen, dass ein VPN existiert, weshalb jahrzehntealte Business‑Anwendungen über IPsec ohne Anpassung laufen können.
• Ein veröffentlichter Standard. IETF‑Spezifikationen definieren IPsec, sodass eine Firewall eines Anbieters in der Regel einen Tunnel zu einem Gateway eines anderen Herstellers aufbauen kann.

Nachteile von IPsec

• Komplexe Konfiguration. Dutzende Einstellungen müssen auf beiden Seiten übereinstimmen, darunter Verschlüsselungsalgorithmen, Schlüssellebenszeiten und Identifikatoren. Eine einzige Abweichung kann verhindern, dass ein Tunnel zustande kommt.
• Overhead durch Verschlüsselung und Kapselung. Jedes Paket erhält zusätzliche Bytes, was bei Links mit kleinerer MTU zu Fragmentierung führen kann.
• Kompatibilität mit Firewalls und NAT. Manche Netze blockieren die für IPsec nötigen Ports oder verarbeiten Adressübersetzung ungünstig, sodass eine Verbindung gar nicht erst zustande kommt.

Ohne einen Netzwerkingenieur vor Ort sind meist die Einstellungen, Ports und das Verhalten der Netzwerkadressübersetzung die schwierigsten Punkte beim Einrichten eines IPsec‑VPN.

Ist IPsec sicher?

IPsec ist sicher, wenn es mit aktuellen Einstellungen konfiguriert ist, aber nicht jede Installation ist das. Ältere Geräte können noch veraltete Chiffren oder eine alte Version des Schlüsselaustauschs verwenden; der Schutz variiert daher von Verbindung zu Verbindung.

Die meisten aktuellen Setups kombinieren AES zur Verschlüsselung mit HMAC-SHA-2 zur Integrität. HMAC-SHA-2 erstellt einen kurzen Fingerabdruck der Daten unter Verwendung eines geheimen Schlüssels, sodass jede Manipulation sofort auffällt.

Ältere Installationen verwenden mitunter noch DES oder MD5, die heute beide nicht mehr als sicher gelten. Einige Legacy‑Geräte bieten auch 768‑ oder 1024‑bit Diffie‑Hellman‑Gruppen an. Diffie‑Hellman ist das Verfahren, mit dem die beiden Seiten einen gemeinsamen Schlüssel aushandeln, ohne ihn zu übertragen; die Gruppe bestimmt die Größe der verwendeten Zahlen. Kleinere Gruppen bieten weniger Schutz gegen Angriffe, weshalb moderne Konfigurationen stärkere Diffie‑Hellman‑Gruppen verwenden statt der in Altinstallationen zu findenden kleinen Gruppen.

Auch der Schlüsselaustausch ist zu prüfen. IKEv1, 1998 veröffentlicht, hat in bestimmten Modi bekannte Schwächen. Am problematischsten ist der aggressive Modus, ein verkürzter Handshake, der eine Nachrichtenrunde gegen Geschwindigkeit tauscht. Dadurch werden genug Informationen preisgegeben, dass ein Angreifer den Austausch mit dem Zielpaket mitschneiden und anschließend offline das gemeinsame Passwort erraten kann, ohne Beschränkung bei den Versuchen. Es besteht zudem das Risiko eines Downgrade‑Angriffs, bei dem jemand die anfängliche Aushandlung manipuliert, so dass beide Seiten auf ältere Verschlüsselung zurückfallen, die sie noch unterstützen. Die IETF hat IKEv1 formell 2023 in den historischen Status verschoben (deprecated).

IKEv2 verhandelt sicherer und kann Rekeying besser handhaben — den geplanten Wechsel zu neuen Schlüsseln während einer Sitzung. Es fügt außerdem NAT‑T hinzu, das einen bestehenden Tunnel aufrechterhält, wenn sich die IP-Adresse Ihres Geräts ändert; so bleibt ein Smartphone beim Wechsel von WLAN zu Mobilfunk verbunden, statt die Verbindung komplett neu aufzubauen.

Als Privatanwender wählen Sie diese Einstellungen in der Regel nicht selbst. Ihre VPN‑App oder das IT‑Team Ihres Arbeitgebers übernimmt das. Entscheidend ist, dass die Software aktuell ist und weiterhin Updates erhält, denn nur so bleiben Chiffren und Schlüsselaustausch modern.

Starke Verschlüsselung für jede Verbindung.

Kaspersky‑VPN verschlüsselt Ihren Internetverkehr und verschleiert Ihre IP-Adresse, sodass Ihre Verbindung in jedem Netzwerk, auch im öffentlichen WLAN, privat bleibt.

Kaspersky‑VPN herunterladen

✓

Unabhängig getestet und ausgezeichnet von führenden Laboren der Branche.

Was ist der Unterschied zwischen IPsec und SSL VPNs?

IPsec kann einem Gerät Netzwerk‑Level‑Zugriff auf ein entferntes Netzwerk gewähren, wobei der Verkehr gemäß der VPN-Konfiguration durch den geschützten Tunnel geroutet wird. Ein browserbasiertes SSL‑VPN bietet typischerweise Zugriff auf ausgewählte Ressourcen, wie eine interne Website, statt das Gerät vollständig ins Netz aufzunehmen.

IPsec arbeitet tiefer, auf der Netzwerkschicht, sodass es alles schützen kann, was ein Gerät sendet. SSL‑VPNs arbeiten höher, sie nutzen TLS, die Technik, die Ihre Verbindung zu einer Bankseite verschlüsselt. Wenn ein IPsec‑Tunnel aktiv ist, verhält sich das Gerät, als wäre es direkt in das entfernte Netzwerk eingesteckt. Ein browserbasiertes SSL‑VPN öffnet dagegen ein Portal zu einer definierten Menge an Ressourcen, wie einer Intranet‑Seite oder einer einzelnen internen Anwendung; das Gerät selbst wird nicht Teil des Netzwerks. Manche SSL‑VPNs laufen allerdings mit einem Client und leiten so gesamten Verkehr wie IPsec, sodass das Portal‑Modell nicht die einzige Ausprägung ist.

IPsec erfordert auf beiden Seiten passende Konfiguration, selbst wenn der Client bereits im Betriebssystem integriert ist; ein browserbasiertes SSL‑VPN kann oft ohne Installation auskommen. Sein Verkehr läuft über TCP Port 443, denselben Port, der häufig für HTTPS‑Verkehr genutzt wird und in Netzwerken und Firewalls weitgehend erlaubt ist. Das macht browserbasierte SSL‑VPNs auf restriktiven Netzen, etwa in Hotels oder Flughäfen, oft einfacher zu verwenden, wo IPsec‑Verkehr blockiert sein kann.

Weiterführende Artikel:

• Was ist ein VPN und wie funktioniert er?
• Wie schützt mich ein VPN online?
• Was ist Datenverschlüsselung?
• Wie man Sicherheitsrisiken in öffentlichem WLAN vermeidet

Empfohlene Produkte:

• Kaspersky Premium
• Laden Sie eine kostenlose 30‑Tage‑Testversion unseres Premium‑Plans herunter
• Kaspersky Mobile Security

FAQs

Welche Ports verwendet IPsec?

IKE läuft auf UDP Port 500, und NAT‑Traversal verschiebt den Schlüsselaustausch und den folgenden verschlüsselten Verkehr auf UDP Port 4500. ESP und AH sind keine Ports, sondern IP‑Protokolle 50 und 51. Eine Firewall muss diese zulassen, sonst kann der Tunnel nicht aufgebaut werden.

Verlangsamt ein IPsec‑VPN meine Verbindung?

Ja, leicht. Die Verschlüsselung jedes Pakets kostet etwas CPU, und der Verkehr läuft über einen VPN‑Server. Die meisten Nutzer bemerken beim Surfen oder Streamen jedoch nichts. Die Entfernung zum Server erhöht die Latenz, was die Geschwindigkeit wesentlich stärker beeinflusst als das Protokoll selbst.

Wie beeinflusst IPsec MTU und MSS?

IPsec fügt ungefähr 50 bis 70 Bytes pro Paket hinzu, was Fragmentierung erzwingen kann. Administratoren drosseln die TCP‑MSS zur Kompensation, aber einen Standardwert gibt es nicht: Das hängt von der Verschlüsselung, davon ab, ob NAT‑T aktiv ist, und von der zugrunde liegenden Link‑MTU ab. (MTU und MSS bleiben hier als Platzhalter für lokale Konfigurationen.)

Verwendet IPsec symmetrische oder asymmetrische Verschlüsselung?

Beides. IKE nutzt asymmetrische Kryptografie, einen Diffie‑Hellman‑Schlüsselaustausch, mit dem die beiden Enden ein gemeinsames Geheimnis aushandeln, ohne es zu übertragen. Dieses Geheimnis treibt dann eine schnellere symmetrische Chiffre an, meist AES, die Ihren Verkehr schützt.